当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2015-0146243

漏洞标题:phpyun 任意用户密码修改两处 (秒破/demo测试)

相关厂商:php云人才系统

漏洞作者: ′雨。

提交时间:2015-10-13 11:09

修复时间:2016-01-11 15:32

公开时间:2016-01-11 15:32

漏洞类型:设计缺陷/逻辑错误

危害等级:高

自评Rank:20

漏洞状态:厂商已经确认

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2015-10-13: 细节已通知厂商并且等待厂商处理中
2015-10-13: 厂商已经确认,细节仅向厂商公开
2015-10-16: 细节向第三方安全合作伙伴开放(绿盟科技唐朝安全巡航
2015-12-07: 细节向核心白帽子及相关领域专家公开
2015-12-17: 细节向普通白帽子公开
2015-12-27: 细节向实习白帽子公开
2016-01-11: 细节向公众公开

简要描述:

好久没看过php了。。。。

如题咯。

详细说明:

来看到找回密码的地方。
app/controller/forgetpwd/index.class.php

function send_action(){
$username=yun_iconv("utf-8","gbk",$_POST['username']);
if(!$this->CheckRegUser($username)&&!$this->CheckRegEmail($username)){
$res['msg']=yun_iconv("gbk","utf-8","用户名不符合规范!");
$res['type']='8';
echo json_encode($res);die;
}
$M=$this->MODEL("userinfo");
$where=array("`username`='".$username."' or `email`='".$username."' or `moblie`='".$username."'");
$info=$M->GetMemberOne($where,array("field"=>"`uid`,`username`,`email`,`moblie`"));
if($info['uid']){
$sendcode=rand(100000,999999);//这里从这个范围里随机抽取一个数字来 生成token 来验证 数字还挺大的 然而并没有什么卵用。
setcookie("moblie_code",$sendcode,time()+120, "/");//我擦 这是什么意思。。 为什么要把生成的token给我。。。
if($_POST['sendtype']=='email'){
if(!($this->config['sy_smtpserver']!="" && $this->config['sy_smtpemail']!="" && $this->config['sy_smtpuser']!="")){
$res['msg']=yun_iconv("gbk","utf-8","还没有配置邮箱,请联系管理员!");
$res['type']='8';
echo json_encode($res);die;
}elseif($this->config['sy_email_getpass']=="2"){
$res['msg']=yun_iconv("gbk","utf-8","网站未开启邮件找回密码!");
$res['type']='8';
echo json_encode($res);die;
}
}else{
if(!$this->config["sy_msguser"] || !$this->config["sy_msgpw"] || !$this->config["sy_msgkey"]){
$res['msg']=yun_iconv("gbk","utf-8","还没有配置短信,请联系管理员!");
$res['type']='8';
echo json_encode($res);die;
}elseif($this->config['sy_msg_getpass']=="2"){
$res['msg']=yun_iconv("gbk","utf-8","网站未开启短信找回密码!");
$res['type']='8';
echo json_encode($res);die;
}
}
$fdata=$this->forsend(array('uid'=>$info['uid'],'usertype'=>$info['usertype']));
$data['uid']=$info['uid'];
$data['username']=$info['username'];
$data['name']=$fdata['name'];
$data['type']="getpass";
if($_POST['sendtype']=='email'){
$data['email']=$info['email'];
}else{
$data['moblie']=$info['moblie'];
}
$data['sendcode']=$sendcode;
$data['date']=date("Y-m-d");
$status=$this->send_msg_email($data);
if($_POST['sendtype']=='email'){
$check=$info['email'];
}else{
$check=$info['moblie'];
}
$cert=$M->GetCompanyCert(array("uid"=>$info['uid'],"type"=>"5","check"=>$check),array("field"=>"`uid`,`check2`,`ctime`,`id`"));
if($cert){
$M->UpdateCompanyCert(array("check2"=>$sendcode,"ctime"=>time()),array("id"=>$cert['id']));
}else{
$M->AddCompanyCert(array('type'=>'5','status'=>0,'uid'=>$info['uid'],'check2'=>$sendcode,'check'=>$check,'ctime'=>time()));
}
if($_POST['sendtype']=='email'){
$res['msg']=iconv("gbk","utf-8",'验证码邮件发送成功!');
}else{
$res['msg']=iconv("gbk","utf-8",'验证码短信'.$status);
if($status!="发送成功!"){
$res['type']='8';
echo json_encode($res);die;
}
}
$res['type']='1';
$res['uid']=$info['uid'];
$res['username']=$this->half_replace(yun_iconv("gbk","utf-8",$info['username']),'GBK');
$res['email']=$this->half_replace($info['email']);
$res['moblie']=$this->half_replace($info['moblie']);
echo json_encode($res);die;
}else{
$res['type']='2';
echo json_encode($res);die;
}
}


分析见注释。
直接demo测试一下。
www.hr135.com
我自己注册了一个号 xiaoyu
http://www.hr135.com/index.php?m=forgetpw
然后输入xiaoyu

您正在找回密码的账号为:xi***yu,请选择重置密码方式:

选择密保邮箱 9158*******com

选择绑定手机号 141*****241

若您无法使用上述方法找回,请联系客服400-880-5523


这里选择邮箱 然后下一步。

1.png


然后我们刷新 抓包。

GET /index.php?m=forgetpw HTTP/1.1
Host: www.hr135.com
User-Agent: Mozilla/5.0 (Windows NT 6.1; rv:12.0) Gecko/20100101 Firefox/12.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8
Accept-Language: zh-cn,zh;q=0.8,en-us;q=0.5,en;q=0.3
Accept-Encoding: gzip, deflate
Proxy-Connection: keep-alive
Referer: http://www.hr135.com/index.php?m=login
Cookie: CNZZDATA3860868=cnzz_eid%3D728936302-1434163605-%26ntime%3D1434169820; safedog-flow-item=E8B28CBFB51FE7D89532C87629CB95F8; PHPSESSID=o3tg919m4gma3vq3mh6is5ce54; moblie_code=567221
Cache-Control: max-age=0


moblie_code=567221

2.png


然后直接输入密码就行了。
第二处
另外一处就是手机页面的找回密码的文件
\app\controller\wap\forgetpw.class.php

function send_action(){
$username=yun_iconv("utf-8","gbk",$_POST['username']);
if(!$this->CheckRegUser($username)&&!$this->CheckRegEmail($username)){
$res['msg']=yun_iconv("gbk","utf-8","用户名不符合规范!");
$res['type']='8';
echo json_encode($res);die;
}
$M=$this->MODEL("userinfo");
$where=array("`username`='".$username."' or `email`='".$username."' or `moblie`='".$username."'");
$info=$M->GetMemberOne($where,array("field"=>"`uid`,`username`,`email`,`moblie`"));
if($info['uid']){
$sendcode=rand(100000,999999);
setcookie("moblie_code",$sendcode,time()+120, "/");


跟pc文件的找回密码一样的问题 就不多说拉。。
一样的。
两个文件都修复下把。

漏洞证明:

如上。

修复方案:

去掉setcookie把。。
和 换个牛逼点的验证。。。

版权声明:转载请注明来源 ′雨。@乌云


漏洞回应

厂商回应:

危害等级:高

漏洞Rank:15

确认时间:2015-10-13 11:20

厂商回复:

感谢提供!

最新状态:

暂无


漏洞评价:

评价

  1. 2015-10-13 11:15 | 1c3z ( 普通白帽子 | Rank:264 漏洞数:55 | #)

    在床上也这么快么?

  2. 2015-10-13 11:18 | 大师兄 ( 路人 | Rank:29 漏洞数:7 | 每日必关注乌云)

    雨神回归了?不上课?

  3. 2015-10-13 11:38 | scanf ( 核心白帽子 | Rank:1334 漏洞数:195 | 。)

    可怕

  4. 2015-10-13 12:46 | 泳少 ( 普通白帽子 | Rank:233 漏洞数:81 | ★ 梦想这条路踏上了,跪着也要...)

    d不见了。。

  5. 2015-10-13 13:10 | onpu ( 普通白帽子 | Rank:167 漏洞数:37 | 勿忘初心)

    雨神归来

  6. 2015-10-13 14:18 | 0xev4l ( 路人 | Rank:0 漏洞数:1 | 努力吧!骚年!北京买房买车买菜!)

    雨神回归了!

  7. 2015-10-13 14:22 | 0xev4l ( 路人 | Rank:0 漏洞数:1 | 努力吧!骚年!北京买房买车买菜!)

    我猜一下,修改COOKIE中的uid,然后提交修改密码操作即可?

  8. 2015-10-13 17:44 | Msyb ( 实习白帽子 | Rank:49 漏洞数:13 | 非常荣幸加入乌云。)

    来晚了

  9. 2015-10-16 23:40 | hellowooyun ( 路人 | Rank:15 漏洞数:1 | hello wooyun)

    @0xev4l 这么简单的话不会2个$了

  10. 2015-11-12 09:04 | 换个昵称 ( 路人 | Rank:9 漏洞数:4 | 1)

    原来如此,这么低级的错误都犯